Se ti hanno detto che il GDPR sta finalmente diventando più semplice, hai sentito solo metà della storia. Il pacchetto Digital Omnibus della Commissione europea promette un sollievo concreto su regole che hanno reso la conformità una lenta agonia: banner dei cookie, notifica delle violazioni, perfino la definizione di dato personale. Allo stesso tempo, l'attività sanzionatoria non è mai stata così intensa, e non riguarda più soltanto le Big Tech.
Per le piccole e medie imprese di tutta Europa, il 2026 è l'anno in cui le regole hanno iniziato a cambiare mentre la posta in gioco continuava a salire — entrambe le cose insieme. Ecco cosa diventa davvero più semplice, cosa è solo una proposta e cosa significa per il tuo lavoro di conformità questo autunno.
Un Omnibus, due tempistiche molto diverse
La maggior parte degli articoli parla de «l'Omnibus» come di un unico pacchetto in discussione a Bruxelles. Non è così, e questa differenza stabilisce su cosa puoi agire già oggi.
- Il Digital Omnibus sull'IA è già legge. Modifica il regolamento europeo sull'IA, è stato pubblicato in Gazzetta ufficiale il 24 luglio 2026 ed è entrato in vigore il 27 luglio.
- La parte sul GDPR è ancora una proposta. La parte che modifica il GDPR, le regole ePrivacy e la NIS2 è ancora in fase di discussione preparatoria in Consiglio. La commissione competente del Parlamento non ha adottato una posizione negoziale, i triloghi tra le istituzioni non sono iniziati e l'adozione definitiva non è attesa prima della fine del 2026, nella migliore delle ipotesi.
Tutto ciò che segue su cookie, notifica delle violazioni e definizione di dato personale descrive quindi dove la legge potrebbe andare. Tutto ciò che riguarda il regolamento IA descrive dove si trova già.
Cosa renderebbe più semplice la proposta sul GDPR
La proposta della Commissione è la più grande revisione del diritto europeo sulla protezione dei dati dal 2018, e punta dritto al carico amministrativo che pesa di più sulle organizzazioni piccole.
Banner dei cookie. Il consenso non servirebbe più per i cookie usati per trasmettere una comunicazione, fornire un servizio richiesto dall'utente, misurare in forma aggregata il pubblico del proprio sito o garantire la sicurezza del servizio — le categorie che costituiscono la maggior parte di ciò che installa un tipico sito di PMI. Dove il consenso restasse necessario, il rifiuto dovrebbe richiedere un solo clic ed essere rispettato per sei mesi, invece di ripresentare la richiesta a ogni visita. I browser potrebbero anche trasmettere automaticamente la scelta dell'utente.
Notifica delle violazioni. Oggi il titolare deve notificare all'autorità di controllo qualsiasi violazione entro 72 ore, salvo che sia improbabile che presenti un rischio — una soglia che spinge molte organizzazioni a notificare per prudenza anche incidenti minori. La proposta richiederebbe la notifica solo quando è probabile un rischio elevato, estenderebbe il termine a 96 ore e convoglierebbe le segnalazioni in un unico punto di accesso UE, invece che in canali separati previsti da GDPR, NIS2 e altre norme.
Cosa conta come dato personale. La proposta scrive nella legge un criterio incentrato sul titolare: un'informazione non sarebbe un dato personale per un'organizzazione che non può ragionevolmente identificare la persona, anche se un terzo potrebbe farlo. Per le imprese che detengono dataset pseudonimizzati o aggregati, questo potrebbe restringere in partenza ciò che rientra nel GDPR.
Addestramento dell'IA. La proposta confermerebbe che il legittimo interesse può essere la base giuridica per trattare dati personali al fine di sviluppare e gestire sistemi di IA, a condizione che siano presenti garanzie come la minimizzazione dei dati e il diritto di opposizione.
| Ambito | Regola attuale | Proposta |
|---|---|---|
| Cookie | Consenso per tutto ciò che non è strettamente necessario | Nessun consenso per finalità a basso rischio; rifiuto con un clic valido 6 mesi |
| Violazioni | 72 ore, salvo rischio improbabile | 96 ore, solo per violazioni ad alto rischio, un portale UE |
| Dato personale | Criterio di identificabilità ampio e oggettivo | Valutato dal punto di vista del titolare |
| Addestramento IA | Legittimo interesse motivato caso per caso | Legittimo interesse confermato, con garanzie |
Non tutto sopravvivrà. Il testo di lavoro del Consiglio ha eliminato a giugno 2026 la revisione dei cookie e la clausola sul legittimo interesse per l'IA, e le associazioni per la privacy contestano il pacchetto come una deregolamentazione travestita da semplificazione. Un programma di conformità costruito sulla bozza originale della Commissione potrebbe dover essere rifatto quando arriverà il testo finale.
Le modifiche al regolamento IA già in vigore
La parte del pacchetto sull'IA è definita, e offre un vero margine di respiro alle imprese che sviluppano o utilizzano l'IA:
- Scadenze per l'alto rischio rinviate. Le regole per i sistemi di IA ad alto rischio dell'allegato III — selezione del personale, valutazione del merito creditizio, istruzione e usi simili — si applicano ora dal 2 dicembre 2027 anziché dal 2 agosto 2026. I sistemi soggetti alla normativa UE sulla sicurezza dei prodotti (allegato I) seguiranno il 2 agosto 2028.
- Alfabetizzazione sull'IA attenuata, non abolita. Le imprese non devono più garantire un determinato livello di alfabetizzazione sull'IA per ogni singolo dipendente, e Commissione e Stati membri assumono un ruolo maggiore nel promuoverla. Restano comunque attese misure che la sostengano, quindi conserva la documentazione della formazione.
- Rilevamento dei bias. Le organizzazioni possono trattare categorie particolari di dati personali quando è necessario per individuare e correggere i bias, con garanzie rigorose.
Cosa non è cambiato: i divieti sulle pratiche di IA vietate, in vigore da febbraio 2025. E nulla di tutto questo modifica il GDPR. Uno strumento di IA che tratta dati di clienti o dipendenti ha ancora bisogno di una base giuridica, di un'informativa privacy che lo menzioni e, in molti casi, di una DPIA — oggi, non nel 2027.
Ciò che non si semplifica: l'applicazione
Mentre le regole vengono rinegoziate, le autorità continuano ad applicare quelle vigenti — e i numeri non calano.
Le sanzioni da prima pagina portano ancora nomi noti. TikTok è stata multata per 530 milioni di euro nel 2025 per i trasferimenti di dati di utenti europei verso la Cina, dopo la sanzione record da 1,2 miliardi di euro inflitta a Meta nel 2023 per i trasferimenti dall'UE agli Stati Uniti. Ma per le imprese più piccole la tendenza più importante è dove si sta estendendo l'applicazione.
Le autorità non aspettano più i reclami. Svolgono verifiche di propria iniziativa sui siti web per individuare carenze su cookie e trasparenza, e le sanzioni colpiscono sempre più spesso organizzazioni di finanza, sanità, telecomunicazioni e settore pubblico. Le violazioni sotto osservazione sono quelle di base: i principi dell'articolo 5, come minimizzazione dei dati, limitazione della finalità e limitazione della conservazione, oltre agli obblighi di trasparenza degli articoli 12–14, che l'EDPB ha scelto come tema della sua azione coordinata per il 2026. Sono proprio le aree in cui le organizzazioni senza un team dedicato alla conformità hanno più lacune — a cominciare dal non sapere dove si trovino davvero tutti i loro dati personali.
Cinque cose da fare subito
La sintesi onesta non è «il GDPR diventa più semplice» né «il GDPR diventa più severo». Diventa più specifico, mentre l'applicazione si allarga. Questo richiede alcune mosse ora, invece di restare a guardare:
- Non smantellare il sistema di consenso ai cookie. Le esenzioni proposte non sono legge, il Consiglio le ha già tolte una volta dal suo testo di lavoro e le autorità controllano i banner già oggi. Correggere gli errori più comuni nei banner conviene sia con le vecchie regole sia con le nuove.
- Metti per iscritto il piano di risposta alle violazioni. Che il termine finale sia di 72 o 96 ore, non basta per stabilire sul momento chi decide, chi notifica e cosa si registra. Un piano documentato e provato è ciò che rende rispettabile l'una o l'altra scadenza.
- Mappa dove si trovano i tuoi dati personali. Un registro dei trattamenti e una mappa dei dati aggiornati sono la base di ogni altro obbligo — e la prima cosa che un'autorità chiede.
- Documenta la base giuridica per l'IA. Se sviluppi o acquisti strumenti di IA, registra ora la tua base ai sensi dell'articolo 6 e la valutazione del legittimo interesse. Se la clausola proposta sopravvive, le autorità verificheranno presto quanto quell'interesse sia davvero «legittimo» nella pratica.
- Sfrutta il rinvio del regolamento IA, senza adagiarti. Se rientri nelle regole sull'alto rischio, dicembre 2027 è a circa 15 mesi — più o meno il tempo necessario per avviare un vero programma di gestione dei rischi e di documentazione.
In sintesi
«Semplificazione» non vuol dire «meno controlli». Il regolamento IA ha concesso tempo alle imprese, ma le modifiche al GDPR sono ancora in negoziazione e le autorità di controllo verificano i siti senza aspettare che qualcuno lo chieda. Nel 2026 avranno la meglio le imprese che correggono ciò che viene sanzionato oggi, tenendo d'occhio ciò che potrebbe cambiare domani.
Per le PMI senza un ufficio legale o di compliance interno, questo è il momento in cui una guida strutturata e aggiornata vale più di una checklist GDPR generica — perché la checklist stessa è in fase di riscrittura. Avvia l'audit gratuito di GDPRGard → per vedere a che punto è oggi il tuo sito, oppure prenota una consulenza gratuita.
Fonti
- Commissione europea — entrata in vigore dell'AI Omnibus (in inglese)
- Parlamento europeo — Legislative Train: proposta di regolamento Digital Omnibus (in inglese)
- DLA Piper — GDPR Fines and Data Breach Survey, gennaio 2026 (in inglese)
- GDPR — articolo 33, notifica di una violazione dei dati personali
- GDPR — articolo 5, principi applicabili al trattamento di dati personali
Leggi anche:
- Il Digital Omnibus dell'UE: cosa cambia davvero per il GDPR
- GDPR nel 2026: sanzioni record, una riforma in corso, e cosa fare ora
- Il tuo chatbot IA non anonimizza nulla